一文读懂汽车功能安全.pdf

一文读懂汽车功能安全

/导读/

近些年来，功能安全在汽车传统底盘域和动力域的应用已较为成

熟，各大汽车企业功能安全意识也逐渐增强。在辅助驾驶和自动驾驶

爆发式增长的大趋势下，现代汽车的功能安全在目前尤为复杂的电子

电气系统中就显得更为重要，功能安全也是辅助驾驶和自动驾驶系统

中不可缺少的组成部分。

然而在现实场景中，由于L3及以下的辅助驾驶系统技术尚未成熟，

行业一直在比拼更低的价格成本和更短的开发周期，而这与贯彻功能

安全的“昂贵”和“慢工出细活”相矛盾。由此造成在市场激烈的竞

争中，功能安全往往要进行必要的妥协，但过多的妥协将失去安全保

障的意义，功能安全从业者正在思考如何守住功能安全的底线。

何为汽车功能安全？

随着汽车智能化和电气化技术的快速普及，车内控制器和各种电

子部件越来越多，而各类电子部件都存在系统性失效和随机硬件失效

的风险，因此相应的汽车功能安全变得越来越重要。在汽车电子行业，

功能安全国际标准ISO26262（是基于IEC61508(Genericstandard

forFunctionalSafetyofelectrical/electronicsystems）并适用于汽

车行业的标准）和对应国标GB/T34590将功能安全定义为：避免因电

子电气系统故障而导致不合理的风险。即随机硬件失效和系统性失效

不会导致安全系统的错误功能，从而导致人的伤害死亡。ISO26262

是史上第一个适用于道路车辆的功能安全标准。

在ISO26262国际标准中，汽车功能安全主要包含了以下几类指

导：

1.指导你如何量化产品的安全等级；

2.指导你如何根据不同安全等级设计对应的安全措施；

3.指导你如何控制系统性故障和随机硬件故障；

4.指导你如何管理功能安全（包括流程，安全管理制度、安全流

程、安全审核等）。

功能安全等级的定义是为了对失效后带来的风险进行评估并指导

风险降低到可接受的程度所需要遵循的要求。一般简称

ASIL(AutomotiveSafetyIntegrationLevel-汽车安全完整性等级)，

ISO26262根据汽车的特点，在产品概念设计阶段对系统进行危害分析

和风险评估，识别出系统的危害，如果系统安全风险越大，对应的安

全要求级别就越高，其具有的ASIL的等级也越高。

ASIL按照严重性（Severity）、可能性（Exposure）和可控性

（Controllability）评估危害事件的风险级别等级，共分为QM、A、

B、C、D五个等级，ASILD是最高的汽车安全完整性等级，对功能安

全的要求也最高。

按照以上的划分并进行组合相加得到的5个ASIL等级,原则是：

（1）基本可控的C0组合和无伤害S0的组合不考虑；

（2）其余组合相加等于7分为ASILA，等于8分为ASILB，等

于9分为ASILC，等于10分为ASILD；

（3）其余得分安全评定为QM，只要遵循标准的质量管理流程

(IATF16949)，与功能安全无关。

ASIL汽车安全完整度等级矩阵

从产品安全的角度说，可以把安全分传统安全和E/E功能安全，

传统安全包括：与触电、火灾、烟雾、热、辐射、腐蚀性、能量释放

等相关的危害，此类传统安全问题均不属于功能安全考虑范围之内。

功能安全只考虑E/E系统安全，例如汽车架构、系统、软件、硬件等

方面的失效所导致的整车安全行为，强调在汽车产品的开发过程中如

何避免预防、探测、降低或消除风险。它关注的是系统发生故障之后

的行为，而不是系统的原有功能或性能。因此功能安全的目的就是系

统发生故障后，将系统进入安全可控的模式，避免对人身造成伤害。

目前，欧洲所有OEM